-1323.png){kind=logo}
Introduction
Le paysage de la protection des données et de la gouvernance de l’IA en Afrique a connu des évolutions majeures au cours des deux derniers mois. En matière de protection des données, les autorités de régulation ont intensifié leurs activités de contrôle et publié des orientations visant à clarifier les obligations opérationnelles des organisations, marquant ainsi un passage d’une phase de définition des priorités à une phase de mise en œuvre. Parallèlement, le cadre de gouvernance de l’intelligence artificielle continue de se structurer avec l’introduction de nouveaux projets de loi, lignes directrices et politiques destinés à encadrer le déploiement de l’IA.
Tendance à suivre : la gouvernance de l’IA Depuis le début de l’année, on observe une forte accélération de l’élaboration de politiques, de lignes directrices et de projets de loi relatifs à l’intelligence artificielle à travers l’Afrique. Cette tendance s’est particulièrement accentuée au cours des deux derniers mois, à mesure que les gouvernements ont fait progresser leurs cadres de gouvernance de l’IA.
Par exemple, l’Égypte a publié un ensemble d’instruments adoptant une approche fondée sur des principes pour favoriser un développement et un déploiement de l’IA sûrs et responsables : les Lignes directrices sur l’IA générative, le Guide du cadre national de gouvernance de l’IA et les Lignes directrices pour une IA digne de confiance et responsable.
Le Ghana et le Zimbabwe ont, quant à eux, lancé leurs stratégies nationales pour l’IA. De son côté, le Kenya a ouvert une consultation publique sur sa Politique relative à l’IA et aux technologies émergentes ainsi que sur le Projet de loi sur l’IA 2026. L’Afrique du Sud a également publié pour consultation son Projet de politique nationale sur l’IA, qui a toutefois été retiré en raison d’hallucinations générées par l’IA. Par ailleurs, certains pays, comme le Mozambique, mènent actuellement des consultations dans le cadre de l’élaboration de leurs stratégies nationales en matière d’IA.
Actualités réglementaires
· Le Bureau du Commissaire à la protection des données du Kenya (ODPC) a publié quatre projets de notes d’orientation soumis à consultation publique. Ces documents portent sur les transferts transfrontaliers de données, les politiques de protection des données, les délégués à la protection des données (DPO) ainsi que le secteur des transports. Les observations peuvent être transmises à l’adresse compliance@odpc.go.ke jusqu’au 15 mai 2026.
· En Ouganda, le Bureau de protection des données personnelles (PDPO) a publié neuf projets de textes réglementaires majeurs, notamment : le Règlement sur la protection des données et de la vie privée (conservation des données personnelles) ; la version révisée du Règlement modificatif sur la protection des données et de la vie privée 2026 ; le projet relatif aux exemptions d’enregistrement ; les Lignes directrices sur le traitement licite des données ; les Lignes directrices relatives aux analyses d’impact sur la protection des données (DPIA) ; les Lignes directrices sur la protection des données dès la conception et par défaut (Privacy by Design and by Default) ; les Lignes directrices sur la gestion et la notification des violations de données ; le Règlement établissant les critères de détermination des collecteurs, responsables du traitement et sous-traitants ; ainsi que les Lignes directrices sur la collaboration en matière de protection des données et de la vie privée.
· L’Autorité algérienne de protection des données a publié des lignes directrices établissant des règles éthiques et opérationnelles pour la mise en place de la vidéosurveillance sur le lieu de travail. Celles-ci imposent aux employeurs d’obtenir une autorisation préalable de l’autorité avant l’installation de caméras et fixent une durée maximale de conservation des enregistrements à un an. Similairement, l’autorité togolaise de protection des données a officiellement lancé une plateforme en ligne destinée à la déclaration des systèmes de vidéosurveillance et de vidéoprotection.
· Dans une récente interview, le président de l’autorité marocaine de protection des données a présenté la vision de l’institution concernant la souveraineté des données, les transferts transfrontaliers de données et la gouvernance de l’intelligence artificielle. Il définit la souveraineté des données comme la capacité d’un État à encadrer l’utilisation des données tout en préservant la dignité de ses citoyens. Concernant les transferts internationaux, il a confirmé que les clauses contractuelles types (SCC) et les règles d’entreprise contraignantes (BCR) sont en cours d’intégration dans le cadre réglementaire marocain. Il a également indiqué que les travaux relatifs à un instrument juridique portant à la fois sur la protection des données et l’intelligence artificielle ont débuté en mars 2025.
· Le 16 avril 2026, la Communauté de développement de l’Afrique australe (SADC) a organisé une réunion de validation avec les parties prenantes concernant sa Stratégie de gouvernance des données. Cette stratégie vise à harmoniser les cadres de protection des données et de cybersécurité entre les États membres, afin de favoriser le commerce numérique, les flux transfrontaliers de données et l’interopérabilité des systèmes au sein de la région.
· Le Commissaire à la protection des données de Maurice a annoncé plusieurs initiatives majeures dans le cadre du Plan directeur de la transformation numérique (Digital Transformation Blueprint) du gouvernement. Parmi celles-ci figurent des modifications proposées à la loi sur la protection des données (Data Protection Act), l’introduction de réglementations encadrant les délégués à la protection des données (DPO) ainsi que l’élaboration de règles relatives à la vie privée dans les communications électroniques (e-privacy) destinées au secteur des télécommunications.
· Le 5 mars 2026, l’Autorité rwandaise de protection des données a organisé un atelier de consultation consacrée au projet de règlement d’application de la Loi sur la protection des données et de la vie privée. Cette session a permis de recueillir les avis de professionnels du secteur afin d’améliorer le texte et de garantir sa mise en œuvre pratique et efficace.
· Le 6 mars 2026, l’Information Regulator (IR) d’Afrique du Sud a publié des règlements relatifs au traitement des données de santé, directement applicables aux employeurs, compagnies d’assurance, régimes d’assurance maladie et fonds de pension. L’IR a également indiqué poursuivre ses travaux visant à modifier la loi sur la protection des informations personnelles (POPIA) et à publier les très attendues lignes directrices relatives aux analyses d’impact sur les traitements de données personnelles (Personal Information Impact Assessments – PIIAs).
· Le 26 mars 2026, l’Autorité tanzanienne de protection des données a publié un avis confirmant que la période d’enregistrement volontaire des responsables de traitement et des sous-traitants prendrait officiellement fin le 8 avril 2026. La Commission a précisé cinq exigences obligatoires que toutes les organisations doivent satisfaire avant cette échéance, notamment : s’enregistrer auprès de l’autorité compétente ; désigner un délégué à la protection des données (DPO) ; mettre en place des politiques internes de protection des données ; établir des systèmes sécurisés pour le traitement des données ; et mettre en œuvre des mécanismes permettant la soumission des rapports trimestriels de conformité exigés par la législation.
· Au Nigeria, la Federal Competition and Consumer Protection Commission (FCCPC) a publié pour consultation publique le projet de Règlement sur la protection des consommateurs ainsi que les Notes d’orientation sur le règlement de protection des consommateurs 2026. Le projet de règlement établit des normes strictes en matière de consentement aux services numériques. Il précise notamment que les cases précochées, le consentement groupé ou encore les interfaces manipulatrices (dark patterns) ne constituent pas un consentement valable. Le texte encadre également l’utilisation du profilage algorithmique et de la prise de décision automatisée, en interdisant les pratiques susceptibles d’exploiter les consommateurs vulnérables. Cette approche reconnaît les risques liés au ciblage fondé sur les données et à la manipulation comportementale. Les notes d’orientation traitent quant à elles des contenus générés ou modifiés par l’intelligence artificielle. Elles soumettent ces contenus aux interdictions existantes concernant les représentations fausses, trompeuses ou mensongères. Elles interdisent notamment : la présentation de faux avis, témoignages ou recommandations générés par IA comme étant authentiques ; l’utilisation d’images, de vidéos ou d’enregistrements audio substantiellement modifiés sans divulgation appropriée ; la diffusion de deepfakes sans indication claire de leur caractère artificiel. Par ailleurs, la Nigeria Data Protection Commission (NDPC) a prolongé jusqu’au 30 mai 2026 la date limite de dépôt des audits de conformité des responsables de traitement et des sous-traitants, afin de leur accorder davantage de temps pour satisfaire aux exigences réglementaires.
· Au Tchad, le Sénat a adopté un projet de loi élargissant considérablement les compétences de l’autorité de protection des données. Celle-ci sera désormais compétente en matière de : cybersécurité ; protection des données personnelles ; transactions électroniques ; cybercriminalité ; protection de l’espace informationnel national. Le texte prévoit également des pouvoirs de supervision concernant les systèmes de vidéosurveillance, les drones, les réseaux sociaux, les plateformes numériques et les systèmes d’intelligence artificielle.
· En République démocratique du Congo (RDC), le ministre de l’Économie numérique a lancé un Réseau national des délégués à la protection des données (DPO), destiné à renforcer les capacités nationales en matière de gouvernance et de conformité des données.
· Le 18 mars 2026, le Bureau national des ONG de l’Ouganda a publié une circulaire rappelant à toutes les organisations non gouvernementales leur obligation de s’enregistrer auprès du Personal Data Protection Office (PDPO). Les ONG dont les certificats ont expiré sont invitées à procéder à leur renouvellement. Une directive similaire a été adressée à certaines structures et établissements, avec une exigence supplémentaire de désignation d’un délégué à la protection des données (DPO).
· Le Libéria et la Somalie ont validé leurs politiques nationales relatives aux données, illustrant une volonté commune de construire des économies numériques sûres et interopérables, capables de protéger les intérêts nationaux tout en favorisant l’innovation. Dans le même temps, la République démocratique du Congo, Madagascar et le Lesotho ont ratifié la Convention de Malabo, renforçant ainsi l’adoption du cadre continental africain en matière de cybersécurité, de protection des données et de gouvernance numérique.
Contrôles, sanctions et mises en demeure
· L’Office of the Data Protection Commissioner (ODPC) du Kenya a poursuivi ses actions de contrôle et de sanction en matière de non-respect de la législation sur la protection des données. L’ODPC a notamment reconnu la responsabilité d’une institution de microfinance pour avoir publié, sans base juridique valable, l’image d’un ancien employé sur ses plateformes de réseaux sociaux. L’autorité a également infligé une amende à une structure ayant procédé au traitement illicite des données personnelles d’un individu. Par ailleurs, l’ODPC a rendu une décision concernant des pratiques de marketing direct non sollicité. Dans cette affaire, l’autorité a estimé que la responsabilité des messages promotionnels envoyés sans consentement incombait aux agents commerciaux tiers qui les avaient diffusés, plutôt qu’à l’entreprise pour le compte de laquelle ils agissaient. Dans le même contexte, la Haute Cour du Kenya a statué sur un recours constitutionnel contestant la conservation pendant vingt ans des empreintes digitales et du casier judiciaire d’une personne en lien avec une infraction présumée commise alors qu’elle était mineure. La Cour a jugé que cette conservation prolongée portait atteinte aux droits constitutionnels de l’intéressé et contrevenait au principe fondamental selon lequel l’intérêt supérieur de l’enfant doit prévaloir dans toute décision le concernant.
· Au Nigeria, la Nigeria Data Protection Commission (NDPC) a publié un avis de mise en garde à destination des responsables de traitement et des sous-traitants, alertant sur l’augmentation des menaces visant les infrastructures de sécurité des données. L’autorité a notamment souligné la multiplication de cyberattaques coordonnées ciblant les systèmes financiers et les infrastructures numériques critiques. Cette alerte intervient dans un contexte marqué par plusieurs violations de données actuellement sous enquête, impliquant certaines institutions financières ainsi que des organismes publics. La NDPC a également annoncé l’ouverture d’enquêtes portant sur les activités de plusieurs opérateurs de prêts numériques (digital loan operators) soupçonnés d’avoir enfreint les dispositions de la législation nigériane sur la protection des données. Enfin, l’autorité a adressé un avertissement particulier aux créateurs de contenu numérique et utilisateurs des réseaux sociaux. Elle a rappelé que le fait de photographier ou de filmer délibérément des personnes afin de produire du contenu destiné aux réseaux sociaux, sans base légale ou consentement approprié, peut constituer une atteinte à la vie privée au regard de la Constitution nigériane et de la Nigeria Data Protection Act (NDPA).
Gouvernance de l’IA
· Le 24 mars 2026, le Président de Ghana a officiellement lancé la Stratégie nationale en matière d’IA du pays. Cette stratégie propose la révision et la mise en œuvre complète des politiques existantes sur la protection des données, les données ouvertes et la cybersécurité, ainsi que la diffusion de lignes directrices sur des pratiques d’IA fiables, sûres, sécurisées et éthiques, entre autres réformes réglementaires. De même, le Président de Zimbabwe a officiellement lancé la Stratégie nationale en matière d’IA (2026-2030). Cette stratégie établit une feuille de route concrète pour intégrer l’IA dans les principaux processus gouvernementaux et la prestation des services publics nationaux.
· Le Kenya fait progresser ses efforts en matière de gouvernance de l’IA, alors que le projet de loi sur l’IA de 2026 a été présenté au Parlement et ouvert à la consultation publique. Ce projet de loi prévoit la création du Bureau du Commissaire à l’intelligence artificielle, introduit un système de classification des risques sur quatre niveaux et exige que les développeurs étiquettent explicitement tous les contenus générés par l’IA, une mesure essentielle pour limiter les deepfakes durant les campagnes politiques. En outre, un sénateur kényan a présenté au Sénat une motion appelant à l’élaboration de politiques nationales globales afin d’accélérer l’adoption de l’IA et d’autres technologies émergentes au Kenya.
· En South Africa, le Cabinet a approuvé la publication du projet de politique nationale sur l’IA pour consultation publique. Ce projet s’appuie sur les retours des parties prenantes concernant le précédent cadre de politique nationale sur l’IA, publié pour consultation en 2024. Cependant, cette politique a été retirée en raison d’hallucinations de l’IA.
· Un citoyen kényan a déposé une pétition contre Safaricom, un fournisseur de télécommunications, concernant le déploiement à grande échelle de systèmes d’IA. La pétition allègue des violations du droit constitutionnel à la vie privée, à la dignité, à l’égalité et à un traitement administratif équitable au Kenya.
· Le Gabon avance dans la révision de son Code des communications, en intégrant de manière significative les enjeux liés à l’IA. L’amendement comprend un chapitre dédié à l’IA et aux contenus synthétiques, interdisant les deepfakes portant atteinte à la dignité humaine ou attribuant faussement des propos à des personnalités publiques. L’usurpation d’identité facilitée par l’IA est qualifiée de circonstance aggravante pénale, et un étiquetage obligatoire de tous les contenus générés par l’IA est prévu par le texte.
· Le Conseil de paix et de sécurité de l’Union Africaine a tenu sa 1339e réunion ministérielle sur le thème « Intelligence artificielle : gouvernance, paix et sécurité ». La session a adopté un communiqué réaffirmant le droit souverain de l’Afrique à exploiter l’IA pour la paix, la sécurité et le développement, conformément au droit international et aux priorités des pays africains.
· Mauritius a officiellement lancé sa Stratégie nationale en matière d’IA ainsi que les directives FAIR, qui offrent une feuille de route complète pour une adoption transparente, sûre et efficace de l’IA dans les secteurs sensibles. L’Egypt a mené une démarche similaire en publiant les Lignes directrices nationales pour une IA fiable et responsable ainsi que les Lignes directrices nationales sur l’IA générative.
· Le ministère des Communications et de la Transformation numérique du Mozambique a officiellement lancé des consultations publiques afin de rédiger les futures Stratégies nationales de transformation numérique et d’IA du pays. Le gouvernement a également organisé un atelier dédié pour recueillir les contributions des parties prenantes du secteur privé et de l’industrie, afin de définir un cadre politique global régissant le déploiement de l’IA et d’accélérer le développement des infrastructures numériques nationales. Le Burundi suit la même dynamique, avec un atelier national de validation à Bujumbura de sa Stratégie nationale d’IA 2025–2030.
· À l’issue de la 4e Conférence régionale sur la science, la technologie et l’innovation de la Communauté d’Afrique de l’Est de 2026, une déclaration sur l’IA a été adoptée, comprenant 15 engagements couvrant la gouvernance, les infrastructures, les compétences et la souveraineté.
· Le 1er avril 2026, la Commission de protection des données du Ghana a publié une déclaration dans le cadre de la déclaration conjointe de la Global Privacy Assembly sur les images générées par IA et la protection de la vie privée, abordant la multiplication des usages abusifs de systèmes d’IA pour créer des contenus intrusifs non consentis, des contenus diffamatoires et des contenus nuisibles visant les enfants et d’autres groupes vulnérables. Par ailleurs, la National Data Protection Commission (Ghana) a indiqué que les rapports d’audit de conformité soumis par les responsables de traitement serviront désormais d’indicateur pour évaluer le respect à la fois de la législation sur la protection des données et des obligations liées à l’IA , ce qui étend l’usage des audits au-delà de leur cadre légal initial vers la gouvernance de l’IA.
· En Zambia, le gouvernement a officiellement classé l’utilisation abusive des contenus générés par l’IA comme une menace pour la sécurité nationale, en raison des préoccupations croissantes liées à la désinformation à l’approche des élections générales d’août 2026. En réponse, les régulateurs, notamment Information and Communications Technology Authority, ont renforcé les mesures d’application, y compris des interventions récentes dans les médias, tout en soulignant les risques plus larges que représentent les contenus synthétiques pour les processus démocratiques.
Coopération et Partenariats
· Alors que le Nigeria se prépare pour ses élections de 2027, l’Autorité de protection des données (DPA) a inauguré un groupe de travail conjoint avec la commission électorale. Ce groupe de travail se concentrera sur l’intégration des principes de protection des données dans l’ensemble des activités électorales.
· L’Autorité de protection des données du Benin a récemment tenu une réunion stratégique avec celle du Senegal. Cet échange a porté sur le renforcement de la coopération régionale, le partage des bonnes pratiques réglementaires et le renforcement des cadres de protection des données transfrontaliers en Afrique de l’Ouest.
Conclusion
Dans les prochains mois, nous nous attendons à la conclusion de toutes les consultations en cours concernant les lignes directrices, les projets de loi et les notes d’orientation ; ainsi que la mise à jour de la politique nationale sur l’IA de l’Afrique du Sud.
